Loncat ke daftar isi utama

Meningkatnya Serangan CalPhishing di Sektor Kesehatan

Pada tanggal 11 Juni 2026, Health-ISAC mengamati ancaman rekayasa sosial yang baru muncul dan sangat sulit dideteksi yang dikenal sebagai CalPhishing (Calendar Phishing).

Ringkasan:

Pelaku ancaman memanfaatkan fitur pemrosesan otomatis aplikasi kalender perusahaan (seperti Microsoft Outlook dan Google Calendar) untuk mengirimkan tautan berbahaya langsung ke jadwal harian karyawan.

Dengan menyematkan URL phishing dan mekanisme pengumpulan kredensial di dalam file iCalendar (.ics), penyerang melewati gerbang keamanan email tradisional. Ancaman yang terus-menerus ini menimbulkan risiko terhadap Informasi Kesehatan yang Dilindungi (PHI) dan memerlukan perhatian segera dari tim keamanan sektor kesehatan.

Sampel:

CalPhishing mengeksploitasi kepercayaan tersirat yang diberikan pengguna pada kalender kerja mereka dan sifat lingkungan perawatan kesehatan yang serba cepat dan penuh dengan peringatan. Rantai serangan biasanya berlangsung sebagai berikut:

  • Pengiriman Awal: Penyerang mengirimkan email dengan lampiran file .ics atau undangan kalender langsung. Isi email seringkali minimal untuk menghindari filter spam dan phishing standar.
  • Pemrosesan Otomatis: Klien email perusahaan sering kali secara otomatis memproses file .ics, menempatkan pertemuan sementara di kalender korban tanpa mengharuskan mereka untuk membuka email pengiriman tersebut.
  • Tipuan: Acara kalender tersebut menyertakan pesan mendesak dalam deskripsi acara—seperti Pengarahan Keamanan Wajib, Tanda Tangan Faktur Diperlukan, atau Peringatan Admin TI—bersama dengan tautan berbahaya.
  • Pencurian Token: Mengklik tautan akan mengarahkan pengguna ke halaman login palsu. Kampanye terbaru memanfaatkan teknik yang disebut ConsentFix (phishing kode perangkat) untuk menangkap token sesi. Hal ini memungkinkan penyerang untuk melewati Otentikasi Multi-Faktor (MFA) dan mendapatkan akses permanen tanpa kata sandi ke lingkungan cloud perusahaan.
  • Ketahanan: Aspek paling berbahaya dari CalPhishing adalah umurnya yang panjang. Bahkan jika email asli dihapus atau ditandai sebagai spam oleh pengguna, acara kalender tetap aktif. Pengingat di desktop dan ponsel terus mengingatkan pengguna, memberikan jendela waktu yang lebih lama untuk berinteraksi. Ancaman hanya dinetralisir jika acara tersebut dihapus secara permanen.

 

Rekomendasi:

Untuk mengurangi ancaman CalPhishing, anggota Health-ISAC dan organisasi sektor kesehatan harus menerapkan langkah-langkah pertahanan berikut:

  • Nonaktifkan Pemrosesan Otomatis: Konfigurasikan pengaturan email perusahaan untuk menonaktifkan pemrosesan otomatis undangan kalender eksternal. Wajibkan pengguna untuk meninjau dan menerima lampiran .ics eksternal secara manual.
  • Periksa File Kalender: Perlakukan file .ics sebagai konten aktif. Perbarui gateway keamanan email untuk memeriksa lampiran kalender secara mendalam guna mendeteksi URL tersemat, domain mencurigakan, dan data berbahaya.
  • Perketat Kontrol Akses: Terapkan kebijakan akses bersyarat untuk membatasi alur autentikasi kode perangkat, yang banyak disalahgunakan dalam kampanye ini untuk mencuri token sesi.
  • Perbarui Alur Kerja Remediasi: Pastikan prosedur respons insiden mencakup tindakan penghapusan permanen secara eksplisit untuk menghapus artefak kalender berbahaya dari kotak masuk yang terpengaruh, daripada hanya mengandalkan penghapusan email pengiriman awal.
  • Pelatihan Kesadaran yang Terarah: Edukasi staf medis dan administrasi secara khusus tentang phishing kalender. Latih karyawan untuk memeriksa undangan rapat yang tidak terduga, memverifikasi pengirim eksternal, dan menghapus acara mencurigakan langsung dari kalender mereka daripada hanya mengabaikan email tersebut.

 

Terima kasih kepada Fortra yang telah mengidentifikasi ancaman ini sebulan yang lalu dan atas artikel blog mereka tentang hal ini di sini:

https://www.fortra.com/blog/undangan-kalender-barukampanye-phishing-penyalahgunaan-ics-dan-ketekunan-pasca-pengiriman

 

Fernando dari Rady Children's Mengatakan Keterlibatan Operasional Adalah Kunci Ketahanan Siber
Praktik Terbaik untuk Mengelola Identitas dan Akses Pihak Ketiga